Francisco Pérez
Actualizado: 2026-09-27
¿Qué es MFA y qué significa?
MFA son las siglas inglesas de multi-factor authentication , o autenticación multifactor . Combina pruebas de identidad de al menos dos categorías distintas: conocimiento, posesión o características biométricas. La autenticación de dos factores (2FA) es una modalidad de MFA que utiliza exactamente dos factores de categorías diferentes. Por tanto, una empresa que utiliza 2FA ya está aplicando MFA.
| Categoría | Qué demuestra | Ejemplo |
|---|---|---|
| Conocimiento | Algo que sabe el usuario. | Una contraseña o un PIN. |
| Posesión | Algo que controla el usuario. | Un autenticador vinculado a su cuenta. |
| Inherencia | Una característica biométrica del usuario. | La huella usada para activar un autenticador. |
Estas son las tres categorías básicas recogidas por NIST . La ubicación o el estado del dispositivo pueden orientar una decisión de riesgo, pero no se cuentan aquí como factores adicionales.
Diferencias entre 2FA y MFA: tabla comparativa
La diferencia entre 2FA y MFA está en el alcance del término: 2FA especifica dos factores; MFA engloba los procesos que combinan al menos dos categorías. No son dos productos entre los que deba elegir una empresa.
| Aspecto | 2FA | MFA |
|---|---|---|
| Significado | Autenticación de dos factores. | Autenticación multifactor. |
| Relación | Es una modalidad de MFA. | Es la categoría que incluye la 2FA. |
| Factores requeridos | Exactamente dos, de categorías distintas. | Dos o más, de al menos dos categorías distintas. |
| Ejemplo compartido | Contraseña y código de un autenticador vinculado a la cuenta. | Ese mismo proceso también es MFA. |
Las etiquetas no indican cuántas pantallas verá el usuario ni bastan para determinar la seguridad del acceso. Esos aspectos dependen de los métodos y de su implementación. Añadir otra pantalla o pedir una segunda contraseña no transforma automáticamente un acceso en MFA.
Al evaluar una solución, compruebe qué pruebas exige realmente: disponer de varios métodos para elegir no significa que se combinen en cada inicio de sesión.
Ejemplos de MFA: qué combinaciones cuentan
Para reconocer MFA, identifique las categorías que se verifican y su relación con la cuenta a la que se intenta acceder. Estos ejemplos describen procesos completos, no una lista de dispositivos o aplicaciones.
| Situación de autenticación | Categorías | Evaluación y límites |
|---|---|---|
| Contraseña y TOTP de una aplicación previamente vinculada a la cuenta. | Conocimiento + posesión. | Sí: 2FA y MFA. El código temporal demuestra el control del autenticador vinculado. |
| Contraseña y SMS OTP enviado al número previamente vinculado a la cuenta. | Conocimiento + posesión. | Sí: 2FA y MFA. El SMS presenta riesgos, como la suplantación mediante cambio fraudulento de SIM. |
| Contraseña y respuesta a una pregunta de seguridad. | Solo conocimiento. | No es MFA. Las dos respuestas pertenecen a la misma categoría; las preguntas de seguridad tampoco son una alternativa recomendable para recuperar la cuenta. |
| Inicio de sesión únicamente con un código recibido por SMS. | Solo posesión. | Por sí solo, no es MFA. Prescindir de la contraseña no implica combinar factores. |
| Passkey vinculada a la cuenta, activada con un PIN local o biometría. | Posesión + conocimiento o inherencia. | Puede proporcionar MFA si el servicio exige y comprueba la verificación del usuario. Tocar una llave para indicar presencia no equivale a verificar un PIN o una huella. |
La vinculación es decisiva: verificar un número nuevo que alguien acaba de introducir no demuestra, por sí mismo, el control de una cuenta existente. Ese número debe incorporarse mediante un proceso de vinculación autorizado.
Los ejemplos con contraseña y códigos tampoco garantizan resistencia al phishing. Tanto un TOTP como un SMS OTP introducidos manualmente pueden ser capturados y retransmitidos a un servicio legítimo. NIST distingue expresamente esta limitación .
En el ejemplo de la passkey, el PIN o la biometría se verifican localmente; no se envían al sitio como otra contraseña. FIDO Alliance condiciona la combinación de factores a que el servicio solicite la verificación del usuario.
Métodos de autenticación y su relación con MFA
Un factor describe la categoría de prueba; un método, cómo se comprueba. OTP designa un código de un solo uso, no el número de factores del proceso.
| Método | Qué verifica | Cómo encaja |
|---|---|---|
| OTP por SMS o mensajería | Control del medio de recepción vinculado. | Puede complementar otra categoría. Cambiar de SMS a WhatsApp no añade automáticamente un factor. |
| TOTP | Control del autenticador que genera códigos temporales. | Puede combinarse con una contraseña; no necesita enviar un SMS. |
| Passkeys | Control de una credencial criptográfica. | La verificación local exigida y comprobada por el servicio permite combinar factores. |
| Autenticación silenciosa | Correspondencia entre el número y la SIM del dispositivo. | Puede participar en un flujo más amplio; esa comprobación aislada no demuestra MFA. |
Las passkeys se basan en los estándares FIDO2 y pueden almacenarse en teléfonos, ordenadores o llaves de seguridad. Ofrecen autenticación resistente al phishing. Para Silent Auth, confirme la cobertura y las condiciones de dispositivo y red.
Cómo elegir los métodos de autenticación para su empresa
- Administradores o sistemas sensibles: si la prioridad es combatir el phishing, evalúe passkeys con verificación del usuario, incluidas las almacenadas en llaves de seguridad. Revise su vinculación y revocación.
- Clientes con contraseña: compare aplicaciones autenticadoras vinculadas y SMS según dispositivos, hábitos y riesgo. Considere sus límites frente al phishing y cómo incorporará el segundo factor a las cuentas existentes.
- Aplicaciones que verifican números móviles: evalúe Silent Auth donde sea compatible y compárelo con OTP. Determine aparte si el proceso completo de acceso cumple los requisitos de MFA.
Son puntos de partida: pruebe la experiencia en los dispositivos de sus usuarios y prevea la recuperación ante la pérdida del autenticador. Para comparar integración y gestión, consulte cómo elegir un software MFA .
Cómo encajan EngageLab OTP y Silent Auth
Si necesita incorporar códigos a su aplicación, EngageLab OTP permite generarlos, enviarlos y verificarlos mediante API. Sus estrategias de envío permiten configurar canales alternativos para un número de teléfono. El cambio de canal ante un fallo de entrega no sustituye la recuperación de la cuenta si se pierde el autenticador.
Si necesita comprobar la correspondencia entre número y SIM, EngageLab Silent Auth cubre esa verificación. El servidor de la aplicación valida el resultado mediante la API . Confirme antes su disponibilidad para los países y operadores previstos.
En ambos casos, su aplicación mantiene la responsabilidad sobre la vinculación con las cuentas, las políticas de acceso y la recuperación.
Preguntas frecuentes
¿Cómo se activa MFA?
Mediante los ajustes de seguridad del servicio o la política del administrador, vinculando los autenticadores admitidos.
¿Qué ocurre si se pierde el móvil o la llave?
Utilice un autenticador de respaldo, códigos de recuperación previamente guardados o el procedimiento de identidad del servicio. Revoque las credenciales perdidas; OWASP explica estos mecanismos de recuperación .
¿MFA elimina todos los riesgos?
No. Según el método, persisten riesgos de phishing, robo de sesiones o abuso de la recuperación.
